En un examen de más de 200 000 bombas de infusión en las redes de varias organizaciones de atención médica, los investigadores de seguridad de Palo Alto Networks descubrieron que más del 52 % eran susceptibles a dos vulnerabilidades conocidas que se revelaron en 2019: una con una puntuación de gravedad «crítica» y la otro con una puntuación de gravedad «alta».
La Unidad 42 de Palo Alto Network publicó un informe que examina 200.000 bombas de infusión en las redes de hospitales y clínicas que usan su programa de seguridad para dispositivos IoT.
«Un alarmante 75% de las bombas de infusión escaneadas tenían brechas de seguridad conocidas que las ponían en mayor riesgo de ser comprometidas por atacantes», dijeron los investigadores. «Estas deficiencias incluían la exposición a una o más de las 40 vulnerabilidades de ciberseguridad conocidas y/o alertas de que tenían uno o más de los otros 70 tipos de deficiencias de seguridad conocidas para los dispositivos IoT».
El informe enumera varias vulnerabilidades que afectan a la mayoría de las bombas de infusión, incluidas CVE-2019-12255, CVE-2019-12264, CVE-2016-9355, CVE-2016-8375, CVE-2020-25165, CVE-2020-12040, CVE-2020 -12047, CVE-2020-12045, CVE-2020-12043 y CVE-2020-12041.
CVE-2019-12255, que tenía una calificación de 9,8, se encontró en el 52,11 % de todas las bombas de infusión que analizó Palo Alto. CVE-2020-12040, CVE-2020-12047, CVE-2020-12045, CVE-2020-12043 y CVE-2020-12041 tuvieron calificaciones de 9,8 y se encontraron en al menos el 15 % de las bombas de infusión examinadas.
Aveek Das, el investigador de la Unidad 42 que realizó el estudio, dijo MarketingyPublicidad.es que los actores de amenazas podrían explotar algunas de estas vulnerabilidades para tomar el control de las funciones de la bomba, incluida la dosificación de medicamentos.
Además: algunos NFT ‘Smol’ devueltos después de que la explotación del mercado Treasure condujo al robo
Das agregó que los problemas que descubrieron son «solo la punta del iceberg» y señaló que era probable que encontraran cosas similares con otros dispositivos conectados en los hospitales.
«Nos enfocamos en las bombas de infusión porque son muy frecuentes: representan el 44% de todos los dispositivos médicos y son el tipo de dispositivos conectados más utilizados en los entornos de atención médica», dijo Das.
La mayoría de los sistemas hospitalarios grandes tienen miles de bombas de infusión, lo que dificulta que los equipos de seguridad administren y determinen cuáles deben reemplazarse o actualizarse.
«Las vulnerabilidades más comunes que observamos y que son específicas de los sistemas de infusión que estudiamos se pueden agrupar en varias categorías según los efectos que puedan tener: fuga de información confidencial, acceso no autorizado y desbordamiento. Otras vulnerabilidades provienen de TCP/IP de terceros. se acumula, pero puede afectar los dispositivos y sus sistemas operativos», explicaron los investigadores.
«Observamos que una gran cantidad de vulnerabilidades en los sistemas de bombas de infusión, y en los dispositivos de Internet de cosas médicas (IoMT) en general, están relacionadas con la fuga de información confidencial. Los dispositivos vulnerables a este tipo de problema pueden filtrar información operativa, datos específicos del paciente , o credenciales de configuración de dispositivo o red. Los atacantes que buscan explotar estas vulnerabilidades necesitan diversos grados de acceso. Por ejemplo, CVE-2020-12040, que es específico para canales de comunicación de texto claro, puede ser explotado remotamente por un atacante a través de un administrador. ataque intermedio para acceder a toda la información de comunicación entre una bomba de infusión y un servidor. Por otro lado, CVE-2016-9355 y CVE-2016-8375 pueden ser explotados por alguien con acceso físico a un dispositivo de bomba de infusión para obtener acceso a información confidencial, lo que hace que el ataque sea menos probable, pero aún posible para un atacante con motivaciones específicas».
El informe agrega que algunas de las otras vulnerabilidades descubiertas podrían dar a los usuarios no autenticados la capacidad de obtener acceso a un dispositivo o enviar tráfico de red en un patrón determinado que puede hacer que un dispositivo deje de responder o funcione de una manera que no se espera.
Los investigadores dijeron que las vulnerabilidades pueden conducir a una variedad de malos resultados, incluidas interrupciones en las operaciones del hospital y la atención al paciente.
«El uso continuo de credenciales predeterminadas, que están fácilmente disponibles en línea a través de una simple búsqueda, es otro problema importante en los dispositivos IoT en general, ya que puede brindar acceso directo a cualquier persona que esté en la misma red hospitalaria que los dispositivos médicos», dijo el informe dijo.
«Muchos dispositivos IoMT (y IoT) y sus sistemas operativos utilizan bibliotecas multiplataforma de terceros, como pilas de red, que pueden tener vulnerabilidades que afectan al dispositivo en cuestión. Por ejemplo, para CVE-2019-12255 y CVE 2019-12264 , la pila vulnerable de TCP/IP IPNet es un componente del sistema operativo ENEA de las bombas de infusión Alaris, lo que hace que los dispositivos sean vulnerables».
Las bombas de infusión han sido durante mucho tiempo una fuente de ira para los expertos en ciberseguridad y los proveedores que han pasado más de una década tratando de mejorar su seguridad. Palo Alto señaló que la Administración de Drogas y Alimentos de EE. UU. anunció siete retiros del mercado de bombas de infusión o sus componentes en 2021 y nueve retiros más en 2020.
También ha habido un movimiento para establecer un nivel básico de ciberseguridad para la industria, pero se ha visto obstaculizado por el hecho de que la mayoría de las bombas de infusión duran unos 10 años. Esto significa que muchos hospitales están utilizando bombas con años de antigüedad, lo que dificulta la aplicación de características de seguridad más nuevas.
Palo Alto no pudo decir si estas vulnerabilidades alguna vez se explotaron, y casi ningún experto contactado pudo identificar situaciones en las que estas vulnerabilidades se usaron durante los ataques.
Pero Casey Ellis, CTO de Bugcrowd, dijo que los problemas de seguridad de los dispositivos médicos son increíblemente personales y desconcertantes.
«He visto la explotación inalámbrica de sistemas similares utilizados para crear condiciones que podían descargar todo el contenido de una bomba de infusión o hacer que un marcapasos descargara su batería de una sola vez. Estas vulnerabilidades no tienen el mismo tipo de seguridad inmediata». implicación, pero un atacante podría explotar fácilmente los errores de fuga de información, por ejemplo, para obtener datos utilizables para amenazar y extorsionar a un usuario con un resultado similar», dijo Ellis.
«Los dispositivos médicos están íntimamente ligados a su usuario y, en el caso de un ataque dirigido, las posibilidades van desde la extorsión hasta la vigilancia y el compromiso directo del individuo. Las vulnerabilidades en el informe no parecen estar directamente relacionadas con la capacidad para dañar a un usuario, pero donde hay humo, generalmente hay fuego. La implicación del informe es que las vulnerabilidades del software (y el tiempo de retraso en parchearlos) es un problema sistémico con los dispositivos médicos. Esta es en parte un área de mejora importante para los médicos. fabricantes de dispositivos, y en parte un desafío de probar y actualizar sistemas críticos para la seguridad».
